CVE-2017-9512
WysokieStreszczenie
Zasób mostActiveCommitters.do w Atlassian Fisheye i Crucible przed wersją 4.4.1 umożliwia anonimowym zdalnym atakującym dostęp do wrażliwych informacji, takich jak adresy e-mail komitujących, z powodu braku kontroli uprawnień.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie poufnych danych, co może prowadzić do dalszych ataków lub naruszeń prywatności.
Rekomendacja
Zaleca się aktualizację do wersji 4.4.1 lub nowszej, aby zabezpieczyć się przed tym problemem.
Inne podatności w Atlassian Fisheye and Crucible
Zobacz wszystkie- CVE-2017-9511Wysokie
Klasa MultiPathResource w Atlassian Fisheye i Crucible, przed wersją 4.4.1, umożliwia anonimowym zdalnym atakującym odczyt dowolnych plików poprzez lukę w zabezpieczeniach związaną z przejściem ścieżki, gdy Fisheye lub Crucible działa na systemie operacyjnym Microsoft Windows.
- CVE-2017-14591Krytyczne
Atlassian Fisheye i Crucible w wersjach poniżej 4.4.3 oraz w wersji 4.5.0 są podatne na wstrzykiwanie argumentów poprzez nazwy plików w repozytoriach Mercurial, co pozwala atakującym na wykonanie dowolnego kodu na systemie z zainstalowanym podatnym oprogramowaniem.
Oryginalny opis (angielski, źródło NVD)
The mostActiveCommitters.do resource in Atlassian Fisheye and Crucible, before version 4.4.1 allows anonymous remote attackers to access sensitive information, for example email addresses of committers, as it lacked permission checks.